建站
咨詢
售后
建站咨詢
新聞中心
零信任不是產(chǎn)品或服務(wù)，當(dāng)然也不僅僅是流行語。相反，它是網(wǎng)絡(luò)安全防御的一種特殊方法。顧名思義，不是“先驗證，然后信任”，而是“永遠不要信任，永遠要驗證”。
黎城網(wǎng)站制作公司哪家好，找創(chuàng)新互聯(lián)！從網(wǎng)頁設(shè)計、網(wǎng)站建設(shè)、微信開發(fā)、APP開發(fā)、響應(yīng)式網(wǎng)站設(shè)計等網(wǎng)站項目制作，到程序開發(fā)，運營維護。創(chuàng)新互聯(lián)2013年至今到現(xiàn)在10年的時間，我們擁有了豐富的建站經(jīng)驗和運維經(jīng)驗，來保證我們的工作的順利進行。專注于網(wǎng)站建設(shè)就選創(chuàng)新互聯(lián)。
本質(zhì)上，零信任是通過限制數(shù)據(jù)訪問來保護數(shù)據(jù)。無論是否在網(wǎng)絡(luò)范圍之內(nèi)，企業(yè)都不會自動信任任何人或任何事物。零信任方法要求在授予訪問權(quán)限之前，對試圖連接到企業(yè)的應(yīng)用程序或系統(tǒng)的每個人、設(shè)備、帳戶等進行驗證。
然而，網(wǎng)絡(luò)安全系統(tǒng)設(shè)計之初不是已有這個功能了嗎?難道零信任只是在此基礎(chǔ)上增加某些額外的控件?
的確，零信任框架包括許多企業(yè)廣泛使用的數(shù)據(jù)保護技術(shù)。但是，零信任代表著一個清晰的支點，即如何思考網(wǎng)絡(luò)安全防御。這種方法不僅可以保護整個企業(yè)，而且還可以將該范圍擴大到組織內(nèi)外的每個網(wǎng)絡(luò)、系統(tǒng)、用戶和設(shè)備。強大的身份、多因素身份驗證、受信任的端點、網(wǎng)絡(luò)分段、訪問控制和用戶歸因來分隔和規(guī)范敏感數(shù)據(jù)以及系統(tǒng)訪問，從而讓零信任成為可能。
簡而言之，零信任是一種新的思考網(wǎng)絡(luò)安全的方法，可幫助組織在當(dāng)今瞬息萬變的威脅形勢下保護其數(shù)據(jù)、客戶和自己的競爭優(yōu)勢。
網(wǎng)絡(luò)安全零信任正恰逢其時
企業(yè)高管已經(jīng)感受到保護企業(yè)系統(tǒng)和數(shù)據(jù)的壓力了。投資者和“數(shù)據(jù)主體”(客戶和消費者)也堅持要求有更好的數(shù)據(jù)安全。某些數(shù)據(jù)和應(yīng)用程序為本地部署，而某些則在云中時，安全問題將變得更加復(fù)雜，從員工到承包商和合作伙伴，每個人都在使用多個位置的各種設(shè)備來訪問這些應(yīng)用程序。同時，政府和行業(yè)法規(guī)也在提高保護重要數(shù)據(jù)的要求，零信任可以幫助企業(yè)滿足這些合規(guī)要求。
零信任網(wǎng)絡(luò)安全技術(shù)
幸運的是，零信任背后的技術(shù)正在迅速發(fā)展，這也讓該方法如今更加實用。實現(xiàn)零信任網(wǎng)絡(luò)安全框架的方法不是單一的，也不僅僅只是一種技術(shù)。而是需要多種技術(shù)，這樣才可以確保只有經(jīng)過安全驗證的用戶和設(shè)備才能訪問目標(biāo)應(yīng)用程序和數(shù)據(jù)。
例如，基于“最低特權(quán)”的原則授予訪問權(quán)限，僅為用戶提供完成工作所需的數(shù)據(jù)。這包括實施到期特權(quán)和一次性使用的憑證，這些憑證在不需要訪問后會自動被吊銷。此外，將連續(xù)檢查和記錄流量，并限制訪問范圍，以防止數(shù)據(jù)在系統(tǒng)和網(wǎng)絡(luò)之間進行未經(jīng)授權(quán)的橫向移動。
零信任框架使用多種安全技術(shù)來增加對敏感數(shù)據(jù)和系統(tǒng)的訪問粒度。比如，身份和訪問管理(IAM);基于角色身份的訪問控制(RBAC);網(wǎng)絡(luò)訪問控制(NAC)，多因素身份驗證(MFA)，加密，策略執(zhí)行引擎，策略編排，日志記錄，分析以及評分和文件系統(tǒng)權(quán)限。
同樣重要的是，可以使用技術(shù)標(biāo)準(zhǔn)和協(xié)議來支持零信任方法。云安全聯(lián)盟(CSA)開發(fā)了一種稱為軟件定義邊界(SDP)的安全框架，該框架已應(yīng)用于某些零信任措施?；ヂ?lián)網(wǎng)工程任務(wù)組(IETF)通過批準(zhǔn)主機標(biāo)識協(xié)議(HIP)為零信任安全模型做出了貢獻，該協(xié)議代表了OSI堆棧中的新安全網(wǎng)絡(luò)層。在這些進步的技術(shù)基礎(chǔ)上，許多供應(yīng)商逐漸將零信任解決方案推向市場。
基于這些技術(shù)、標(biāo)準(zhǔn)和協(xié)議，組織可以使用三種不同的方法來實現(xiàn)零信任安全：
- 網(wǎng)絡(luò)微分段，將網(wǎng)絡(luò)刻畫到小的粒度節(jié)點，一直到某個設(shè)備或應(yīng)用程序。安全協(xié)議和服務(wù)交付模型是為每個單獨的細分市場設(shè)計的。
- SDP，基于一種“需要了解”的策略，即在授予對應(yīng)用程序基礎(chǔ)結(jié)構(gòu)的訪問權(quán)限之前，先驗證設(shè)備的狀態(tài)和身份。
- 零信任代理，可充當(dāng)客戶端和服務(wù)器之間的中繼，有助于防止攻擊者入侵專用網(wǎng)絡(luò)。
在特定情境中哪種方法最佳，這取決于保護對象是哪些應(yīng)用程序，當(dāng)前的基礎(chǔ)架構(gòu)如何，是在未開發(fā)的環(huán)境中還是傳統(tǒng)環(huán)境中進行等多種因素。
在IT中采用零信任：構(gòu)建零信任環(huán)境的五個步驟
建立零信任框架并不一定意味著一定需要完全的技術(shù)轉(zhuǎn)型。通過使用以下這些循序漸進的方法，企業(yè)可以以可控的、迭代的方式進行，從而幫助獲取最佳效果，同時對用戶和操作系統(tǒng)的干擾降到最低。
(1) 界定保護表面范圍。零信任環(huán)境下，企業(yè)不會專注于攻擊表面，而只會專注于保護表面，專注于對公司最有價值的關(guān)鍵數(shù)據(jù)、應(yīng)用程序、資產(chǎn)和服務(wù)(DAAS)。保護表面比如，信用卡信息，受保護的健康信息(PHI)，個人身份信息(PII)，知識產(chǎn)權(quán)(IP)，應(yīng)用程序(現(xiàn)成的或定制的軟件);SCADA控件，銷售點終端，醫(yī)療設(shè)備，制造資產(chǎn)和IoT設(shè)備等資產(chǎn)以及DNS，DHCP和Active Directory等服務(wù)。
一旦界定保護面后，可以將控件盡可能地移近它，附上限制性的、精確的和可理解的策略聲明，以此創(chuàng)建一個微邊界(或分隔的微邊界)。
(2) 記錄事務(wù)流量，流量在網(wǎng)絡(luò)中的傳輸方式?jīng)Q定了它的保護方式。因此，獲得有關(guān)DAAS相互依賴關(guān)系的上下文信息十分重要。記錄特定資源的交互方式有助于適當(dāng)?shù)丶訌娍刂撇⑻峁┯袃r值的上下文信息，確保最佳的網(wǎng)絡(luò)安全環(huán)境，同時對用戶和業(yè)務(wù)運營的干擾降到最低。
(3) 構(gòu)建零信任IT網(wǎng)絡(luò)。零信任網(wǎng)絡(luò)完全可以自定義，而不僅是一個通用的設(shè)計。而且該體系結(jié)構(gòu)主要圍繞保護表面構(gòu)建。一旦定義了保護表面并根據(jù)業(yè)務(wù)需求記錄了流程，就可以從下一代防火墻開始制定零信任架構(gòu)。下一代防火墻充當(dāng)分段網(wǎng)關(guān)，在保護表面周圍創(chuàng)建一個微邊界。對任何嘗試訪問保護表面內(nèi)的對象使用分段網(wǎng)關(guān)，可以強制執(zhí)行附加的檢查和訪問控制層，一直到第七層。
(4) 創(chuàng)建零信任安全策略。構(gòu)建網(wǎng)絡(luò)后，將需要創(chuàng)建零信任策略來確定訪問流程。訪問用戶對象、訪問的應(yīng)用程序、訪問原因、傾向的這些應(yīng)用程序連接方式以及可以使用哪些控件來保護該訪問，這些問題都要提前了解。使用這種精細的策略實施級別，可以確保僅允許已知的流量或合法的應(yīng)用程序連接。
(5) 監(jiān)視和維護網(wǎng)絡(luò)。這最后一步，包括檢查內(nèi)部和外部的所有日志，并側(cè)重于零信任的操作方面。由于零信任是一個反復(fù)的過程，因此檢查和記錄所有流量將大大有益，可提供寶貴的參考，以了解如何隨著時間的推移改進網(wǎng)絡(luò)。
其他注意事項和優(yōu)秀實踐
對于考慮采用零信任安全模型的企業(yè)，以下是一些其他的注意事項：
- 選擇架構(gòu)或技術(shù)之前，確保具有正確的策略。零信任是以數(shù)據(jù)為中心的，因此，重要的是考慮數(shù)據(jù)的位置，需要訪問的人以及可以使用哪種方法來保護數(shù)據(jù)。Forrester建議將數(shù)據(jù)分為三類——公開，內(nèi)部和機密，組建帶有微邊界的“數(shù)據(jù)塊”。
- 從小處著手積累經(jīng)驗。為整個企業(yè)實施零信任的規(guī)模和范圍可能是巨大的。例如，谷歌花了七年時間才實施自己的BeyondCorp項目。
- 考慮用戶體驗。零信任框架不必破壞員工的正常工作流程，即使他們(及其設(shè)備)正受到訪問權(quán)限驗證的審查。有些過程在后臺進行，或許用戶根本看不到。
- 對用戶和設(shè)備身份驗證實施強有力的措施。零信任的基礎(chǔ)在于，在完全驗證為有權(quán)訪問內(nèi)部資源之前，沒有任何人、任何設(shè)備可以信任。因此，基于強身份、嚴格的身份驗證和非持久權(quán)限的企業(yè)范圍IAM系統(tǒng)是零信任框架的關(guān)鍵構(gòu)建塊。
- 將零信任框架納入數(shù)字化轉(zhuǎn)型項目。重新設(shè)計工作流程時，還可以轉(zhuǎn)換安全模型。
- 當(dāng)下是采用零信任安全模型最好的時候。技術(shù)已經(jīng)成熟，協(xié)議和標(biāo)準(zhǔn)已經(jīng)確定，對于新的安全性方法的需求不容忽視。
當(dāng)前題目：建立零信任IT環(huán)境的5個步驟
當(dāng)前URL：http://m.5511xx.com/article/djohedd.html
